Масова кампания за сканиране, насочена към достъпни в интернет Vite сървъри за разработка, прави опити да открадне облачни идентификационни данни и конфигурации от внедрявания в AWS и Azure.

Операцията използва експлойт за CVE-2026-39364 – уязвимост с висока степен на опасност, която позволява заобикаляне на контрола за четене и достъп до файлове във Vite версии от 7.1.0 до 7.3.2, както и в клона 8.x преди 8.0.5.

Недостатъкът бе разкрит на 7 април и позволява на неудостоверен атакуващ да манипулира параметрите на заявката в HTTP GET заявка, за да заобиколи ограниченията за сигурност и да извлече файлове в прав текст от места, които обикновено са извън неговия обсег.

Технологичната компания F5 откри атаките чрез своите сензори тип „пясъчник“ (honeypot), като наблюдава над 800 атаки и приблизително 32 000 сурови събития в рамките на един месец.

„Когато към заявката се добавят специфични параметри като ?raw, ?import&raw или ?import&url&inline, сървърът не успява да приложи филтрирането по черен списък и предоставя целевия файл с HTTP 200 отговор“, обясняват от F5.

След пробив в дадена система, сканирането се фокусира върху ценни тайни, използвайки обширни списъци с думи за следните типове данни:

  • .env, .env.production, .env.local и други файлове със среди (environment files)
  • AWS файлове с идентификационни данни от няколко възможни домашни директории
  • AWS конфигурационни файлове и резервни копия на идентификационни данни
  • Azure идентификационни данни и токени за достъп
  • Terraform файлове за състояние и променливи
  • Serverless конфигурация/състояние
  • /proc/self/environ, /proc/1/environ и /proc/self/cwd/.env
  • /etc/passwd

От F5 отбелязват, че операцията е опитала и варианти за обхождане на директории (traversal) и кодиране, включително двойно кодирани traversal последователности, вероятно с цел преминаване през обратни проксита или WAF нормализация.

Повечето от наблюдаваните злонамерени дейности произхождат от Съединените щати, Белгия и Нидерландия, като атакуващите използват IP диапазони на Google Cloud за маскиране.

Най-активните IP адреси също така са използвали други уязвимости в контрола на достъпа във Vite: CVE-2025-30208, CVE-2025-31125 (маркирана като активно експлоатирана) и CVE-2024-45811.

Как да защитите Vite

Въпреки че Vite обикновено се обвързва с localhost, изследователите от F5 посочват, че разработчиците често го излагат онлайн чрез подаване на флага --host, настройване на server.host или неправилно конфигурирано пренасочване на портове в Docker.

Технологичната компания препоръчва актуализиране на Vite сървърите до най-новата версия, която отстранява експлоатираните уязвимости. Разработчиците трябва също така да блокират достъпа през порт 5173, да блокират съмнителни /@fs/ заявки и да избягват да се доверяват на User-Agent низове на ботове.

Основните източници на злонамерените опити са 34.14.15[.]105, 34.16.200[.]129 и 34.11.196[.]206, които трябва да бъдат включени в черния списък.

Ако незащитени Vite сървъри са били публично достъпни, се препоръчва подмяна (ротация) на всички тайни и ключове, които са били в обсега на уязвимата система.